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Abstract of EP0996063 

Medical device has at least one module (12) with 
a circuit (24) specific to the function to be 
executed and for which at least one parameer 
can be altered and takes the form of a digital 
word of N bits. Circuitry within the registers is 
provided to ensure that the input parameter is not 
changed in an unforeseen manner. Each module 
comprises 3 or more N-bit volatile registers, a 
majority circuit with the register values as inputs 
and an operating parameter as output and 
comparison means for comparing register 
contents for any anomalies amongst the contents 
that might indicate a disagreement amongst 
them. 
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(54) Dispositif medical actif, comprenant des registres proteges pour I'ajustement numerique de 
parametres de fonctionnement 
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(57) Ce dispositif comprend au moins un module 
(12) pour la mise en oeuvre d'une fonction du dispositif, 
ce module comportant un circuit (24) specifique a la 
fonction et dont un parametre est ajustable sous forme 
d'un mot numerique de N bits. Chacun des modules 
comprend : au moins trois registres (28) de type volatil 
de N bits memorisant chacun ledit mot numerique ; un 
circuit majoritaire (30) recevant en entree Ies contenus 
des registres et delivrant en sortie au circuit specifique 
(24) la valeur resultante comme parametre d'ajuste- 
ment; et des moyens comparateurs (32, 36), pour com- 
parer Ies contenus respectifs des registres et produire 
un signal d'anomalie (IT^ IT 2 ... ITj ... IT k ) en cas de dis- 
cordance entre ces contenus, notamment un signal d'in- 
terruption applique a un microcontroleur (10). II est en 
outre prevu des moyens de restauration du contenu du 
ou des registre(s) altere(s) en cas de discordance de- 
tected par Ies moyens comparateurs. 
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Description 

[0001] La presente invention concerne de facon ge- 
nerate les 'dispositifs m6dicaux implantables actifs" tels 
que definis par la directive 90/385/CEE du 20 juin 1990 s 
du Conseil des communautes europeennes. II peut 
s'agir de dispositifs implantables — stimulateurs cardia- 
ques, defibrillateurs et/ou cardioverteurs, appareilsneu- 
rologiques, pompes de diffusion de substances medica- 
les, implants cochleaires, etc. — ou non implantables, 10 
c'est-a-dire ported par le patient — notamment les en- 
registreurs Holter, c'est-a-dire les appareils permettant 
d'effectuer en continu et sur une longue periode i'enre- 
gistrement de signaux recueillis au moyen d'electrodes 
implantees ou d'electrodes externes. *5 
[0002] Dans ces dispositifs, comme dans de tres 
nombreux autres dispositifs electroniques, ii est neces- 
saire de regler et de m^moriser un certain nombre de 
parametres de fonctionnement. 

[0003] Parmi ces parametres, on trouve tout d'abord 20 
des parametres de nature technique, generalement 
ajustes en production au moment de la calibration de 
i'appareil (references de tension ou de courant, frequen- 
ce d'un oscillateur, gain d'amplificateurs, etc.). En effet, 
la conception des circuits du dispositif necessite sou- 25 
vent que le fonctionnement des circuits materiels soit 
ajust6 afin d'obtenir un comportement optimal. Ces 
ajustages peuvent etre realises de diverses facons, par 
exemple par ajustement de resistances par sablage ou 
gravure laser ; plus recemment, la generalisation des 30 
electroniques a capacites commutees et des traite- 
ments numeriques a ramene le probleme de I'ajustage 
a I'obtention d'un code num£rique sur N bits qui, une 
fois obtenu, est utilise via des convertisseurs numeri- 
que/analogique ou bien pour commander des commu- 35 
tateurs logiques d'une echelle de capacites, ou encore 
comme variable dans un logiciel. Une telle technique est 
par exemple exposee dans le EP-A-0 661 657 (ELA Me- 
dical). 

[0004] D'autres parametres sont ajustes ulterieure- 40 
ment. 

[0005] Dans le cas particulier d'un dispositif medical 
actif implantable, certains parametres peuvent ainsi etre 
ajustes apres implantation par le praticien, par exemple 
pour adapter la prothese au patient d'un point de vue 45 
physiologique. Ces parametres conditionneront le com- 
portement des divers algorithmes du logiciel de com- 
mando du dispositif medical, par exemple pour la deli- 
vrance d'impulsbns de stimulation ou de chocs de de- 
fibrillation dans le cas d'une prothese cardiaque. &> 
[0006] Ces divers parametres ont comme caracteris- 
tique commune cfStre des parametres permanents 
(c'est-a-dire ajustes une fois pour toutes) ou quasi-per- 
manents, et d'etre definis sous forme de codes numeri- 
ques sur N bits (le nombre N de bits pouvant varier en 55 
fonctbn du parametre considere). 
[0007] Ces codes numeriques sont done stockes 
dans des memoires permanentes, qui peuvent etre de 



type ROM a fusibles, EPROM, E 2 PROM, flash ou en- 
core RAM sauvegardees. Chacun de ces types de me- 
moires possede ses avantages et inconvenients pro- 
pres, et surtout une aptitude plus ou moins grande a 
conserver I'information de facon durable. La RAM, qui 
possede la plus grande facilite d'ecriture, presente aussi 
un risque plus grand de perte ou de corruption de Tin- 
formation sur des evenements rares, comme par exem- 
ple les impacts d'ions lourds tels que les particules alpha 
ou les parasites Slectriques susceptibles d'etre produits 
par exemple a la suite d'une exposition a un champ elec- 
tromagnetique impulsionnel de forte intensite. 
[0008] Les memoires de type ROM, EPROM, 
E 2 PROM ou flash sont, par nature, bien protegees con- 
tre ces risques d'afteration, mais elles presentent, pour 
un dispositif medical actif, un double inconvenient : 

d'une part, du point de vue de la topologie des cir- 
cuits, ces memoires ne sont pas physiquement lo- 
calisees la ou la valeur qu'elles mSmorisent est uti- 
lisee, et par ailleurs sont organisees architecturale- 
ment d'une facon globale en plan memoire qui in- 
terdit I'acces individuel, direct et permanent a Tin- 
formation, alors que la fonction analogique ajustee 
a besoin de cette information en permanence ; 
en second lieu, la lecture de ces memoires consom- 
me de Tenergie, parametre critique pour les prothe- 
ses implantables et, plus generalement, pour les 
dispositifs portables alimentes par une pile, qui em- 
pechent un acces permanent a I'information d'eta- 
lonnage de la fonction analogique conserved dans 
ces memoires, pour des questions evidentes de 
consommation d'energie. 

[0009] Ces difficult^ ont conduit a memoriser les in- 
formations en quest bn dans des registres de type RAM 
ou bascules electroniques logiques, localises a Tinte- 
rieur du module qui les utilise, done topologiquement 
proche du lieu de la fonction qu'ils etalonnent, et lisibles 
en permanence et a tres faible consommation. 
[001 0] Ces registres etant par nature des registres vo- 
latils, il faut tenir compte du risque d'effacement acci- 
dentel de la donnee, avec deux problemes : 

surveillance de I'information conservee dans les re- 
gistres afin d'en controler I'integrite, et ceci avec 
une consommation negligeable et de facon imme- 
diate ou quasi- immediate ; et 
correction, egalement immediate ou quasi-imme- 
diate, de la donnee corrompue en cas d'alteration 
accidentelle. 

[0011] il a ete propose divers systemes bases sur un 
codage redondant et/ou auto-correcteur de Tinfonma- 
tion, par exemple de type CRC ou analogue. 
[001 2] Mais cette technique presente le double incon- 
venient de necessiter une scrutatipn ou analyse quash 
permanente de i'information, impliquant done une con- 
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sommation d'energie importante, et d'autre part de I'ap- 
parition d'un etat indetermin6 de rinformation pendant 
le laps de temps separant la detection de I'erreur de sa 
correction, inconvenient qui n'est pas admissible dans 
le cas de dispositifs m£dicaux actifs tels que des stimu- s 
lateurs cardiaques, dans lesquels la continuite d'un 
fonctionnement correct doit etre assured en toutes cir- 
constances. 

[0013] L'invention apporte une solution k ces proble- 
mes, en proposant un disposjtif medical actif compre- 10 
nant au moins un module pour la mise en oeuvre d'une 
fonction du dispositif, ce module comportant un circuit 
specif ique k la fonction et dont un parametre est ajus- 
table sous forme d'un mot numerique de N bits, dispo- 
sitif caracterise en ce que chacun desdits modules \& 
comprend : au moins trois registres de type volatil de N 
bits memorisant chacun ledit mot numerique ; un circuit 
majoritaire recevant en entree les contenus des regis- 
tres et delivrant en sortie au circuit specifique la valeur 
resultante comme parametre d'ajustement; et des 20 
moyens comparateurs, pour comparer les contenus 
respectifs des registres et produire un signal d'anomalie 
en cas de discordance entre ces contenus. 
[0014] Lorsque le dispositif medical actif est un dis- 
positif k microcontroleur, le signal d'anomaHe peut etre 25 
un signal d'interruption applique" au microcontr6leur ; en 
cas de plurality de modules, les signaux d'interruption 
respectifs sont appliques au microcontroleur via des 
moyens pour multiplexer, coder et geYer les priority de 
ces interruptions. 30 
[0015] Tres avantageusement, il est prevu en outre 
des moyens de restauration du contenu du ou des re- 
gistre(s) alt£re(s) en cas de discordance detectee par 
les moyens comparateurs. Ces moyens peuvent notam- 
ment etre des moyens pour rechercher une valeur con- 3S 
cordante entre une plurality de registres et recopier cet- 
te valeur dans le registre altere\ ou encore, lorsque la 
valeur du parametre est egalement conserved dans une 
memoire non volatile exterieure au module, des moyens 
pour recopier dans le registre altere, ou bien dans tous <o 
les registres, la valeur lue dans cette memoire non vo- 
latile exterieure. 

[001 6] On va maintenant decrire un exemple de mise 
en oeuvre de l'invention, en reference aux dessins an- 
nexes. 45 
[001 7] La figure 1 reprSsente, sous forme de schema 
par blocs, les principaux elements d'un dispositif medi- 
cal actif incorporant le circuit de surveillance et de cor- 
rection selon l'invention. 

[0018] La figure 2 montre plus en detail la structure so 
de I'un des blocs references 26 de la figure 1 . 
[0019] Le dispositif medical actif se compose essen- 
tiellement d'un microcontroleur 10 et d'un ASIC 12 con- 
tenant les diverses fonctions k configurer par des regis- 
tres proteges. 55 
[0020] II peut eventuellement comporter une memoire 
de stockage non volatile 14 telle qu'une E^PROM, qui 
peut dtre externe, comme illustre, ou bien interne au mi- 



crocontrdleur 10. 

[0021] Le microcontroleur 10 comporte, de maniere 
classique, une memoire morte ROM 16 et une memoire 
vive RAM 1 8, et il communique avec I'ASIC 1 2 et, le cas 
echeant, I' E 2 PROM 1 4 par un bus d'adresses et de don- 
nees 20 

[0022] II dispose par ailleurs d'une entree IT^ 22 dont 
le role sera explique plus bas. 
[0023] L'ASIC 1 2 comporte un certain nombre de mo- 
dules 24 dont chacun correspond k une fonction parti- 
culiere dont un parametre est ajustable, par exemple : 

amplificateur k gain ajuste, 

oscillateur k frequence ajustee, 

chain e de traitement de I 'acceleration, dans le cas 

d'un dispositif asservi, 

etage de stimulation k configuration programmable 
(configuration des electrodes pour un stimu lateur 
multisite, configuration des chocs k appliquer pour 
un defibrillateur). 

[0024] On peut egalement stocker de la meme facon 
des donnees critiques pour le fonctionnement du dispo- 
sitif, par exemple lenumerode modele, qui est une don- 
nee indispensable notamment k la reconnaissance du 
dispositif par un programmateur externe. 
[0025] Ces divers modules 24 sont chacun relies k un 
bloc 26 memorisant les N bits (N etant un nombre va- 
riable selon la fonction consideree) necessaires a I'ajus- 
tage du module 24. 

[0026] Les bits d'ajustage, organises en mots de N 
bits, sont stockes de facon triple dans des registres 
identiques 28, dont I'architecture est identique d'un bloc 
26 k I'autre, mais qui different en taille suivant le nombre 
N de bits d'ajustage correspondant au module 24 asso- 
cie (la figure 2 illustre ainsi un exemple de bloc 26 dans 
le cas ou N = 4). 

[0027] Le chiffre de trois pour le nombre de registres 
28 n'est pas limitatif, et un nombre superieur peut §tre 
envisage, de preference (mais non necessairement) un 
nombre impair. 

[0028] Initialement, et dans les conditions normales 
de fonctionnement, les trois registres 28 d'un m§me bloc 
26 stockent la meme information. 
[0029] Chacun des bits de chacun des trois registres 
28 d'un meme bloc 26 est applique, d'une part, k Tune 
des trois entrees d'un circuit majoritaire respectif 30 et, 
d'autre part, k Tune des trois entrees d'une porte res- 
pective 32 r6alisant la fonction DIFFERENCE (sortie k 
faux' si et seulement si les trois entrees sont identiques 
(toutes k '0' ou toutes k '1 '), et sortie k Vrai' dans le cas 
contraire). 

[0030] Pour memoire, la table de verite d'un circuit 
majoritaire k trois entrees A, B et C est la suivante : 



A 


B 


C 


Majorite 


0 


0 


0 


0 
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(suite) 



A 


B 


c 


Majority 


0 


0 


1 


0 


0 


1 


0 


0 


0 


1 


1 


1 


1 


0 


0 


0 


! 1 


0 


1 


1 


1 


1 


0 


1 


1 


1 


i 


1 



[0031] La table deverited'un circuit DIFFERENCE a 
trois entries A, B et C, quant a elle, est la suivante : 



A 


B 


c 


Difference 


0 


0 


0 


0 


0 


0 


1 


1 


0 


1 


0 


1 


0 


1 


1 


1 


1 


0 


0 


1 


1 


0 


1 


1 


1 


1 


0 


1 


1 


1 


1 


0 



[0032] Les sorties des circuits majoritaires 30 sont ap- 
pliques a un registre Reg_Adj 34 permettant I'ajustage 
de la fonction du module 24 associS au bloc 26 consi- 
dere. Ainsi, si une alteration survient sur Tun des trois 
registres 28, aucune consequence n'est vue par la fonc- 
tion ajustee. 

[0033] Ces circuits majoritaires garantissent done I'in- 
tegrite* du systeme meme si Tun des registres vient a 
etre altere, car dans ce cas les deux autres registres 
resteront identiques et e'est leur valeur qui sera prise en 
compte par le circuit majoritaire 30, de sorte qu'aucune 
consequence de I'alteration survenue ne soit vue par la 
fonction ajustee. 

[0034] Les portes Dl FFERENCE 32, en comparant bit 
a bit les trois registres 28, surveillent que ces trois re- 
gistres 28 sont toujours identiques. Si tel est le cas (si- 
tuation normals) les portes 32 sont a I'etat inactrf (la con- 
sommation est done nulte, bien que la surveillance soit 
permanente) ; dans le cas ou une difference apparait 
entre les trois registres sur Tun quelconque des bits, la 
fonction de la porte DIFFERENCE 32 correspondante 
passe a I'etat actif, reliant ainsi I'alteration de I'un des 
registres. 

[0035] Le circuit va gerer la detection d*une telle alte- 
ration de ia maniere suivante. 

[0036] Les sorties des portes DIFFERENCE 32 de 



chaque bloc 26 sont relives a I'une des entries d'une 
porte OU commune 36 a N entries (autant d'entrees 
que de bits dans chacun des registres 28) produisant 
en sortie uri signal, permettant de vehiculer une deman- 

5 de d'interruption en direction du microcontroleur. 
[0037] Ainsi, pour chaque fonction, un seul fil est ne- 
cessaire pour vehiculer la demande d'interruption pro- 
pre a I'ajustage du module correspondant, quel que soit 
le bit altere dans les trois registres 28. 

w [0038] L'ensemble des demandes d'interruption IT 1( 
IT 2 , ... est regroupe et traits par deux fonctions : 

une porte OU 38 a k entrees regroupe toutes les 
demandes d'interruption, et sa sortie est interfaced 
*s avec Pentree d'interruption 22 du microcontroleur 
10; 

un bloc 40 a k entries a pour fonction de calculer 
le num6ro de I'interruption qui s'est produite et I'ecri- 
re dans un registre Reg_Num 42 accessible en lec- 
20 ture dans le systeme global via le bus 20 ; si plu- 
sieurs interruptions se produisent en meme temps, 
le bloc 40 memorise chacune des demandes et ins- 
crit dans le registre 42 le numero de I'interruption a 
trailer, en fonction de priorrtes pr&iefinies. 

25 

[0039] Le microcontroleur 1 0, sur reception d'une de- 
mande d'interruption IT in 22, execute alors un program- 
me specifique qui peut etre contenu dans la ROM 1 6 ou 
la RAM 18 pour traiter le probleme de corruption de re- 
30 gistre qui vient de se produire. Pour savoir quel ajustage 
vient d'etre altere, il lui suffit de lire le registre Reg_Num 
42 pour obtenir son numero et done I'adresse du (des) 
registre(s) 28 alter6(s). 

[0040] Deux modes operatoires peuvent etre prevus, 
35 suivant que le systeme possede ou non une unite de 
stockage non volatile 14 dans laquelle se trouvent ega- 
lement memorisees les valeurs des parametres d'ajus- 
tage. 

[0041] Dans un premier cas, en {'absence d'unitS de 
40 stockage non volatile, e'est-a-dire si les valeurs des pa- 
rametres sont exefusivement conserves dans les re- 
gistres 28, le microcontroleur lit les trois registres 28 cor- 
respondant au numero d'interruption indique par le re- 
gistre 42, et verifie qu'au moins deux des registres 28 
45 sur trois sont identiques. II reecrit dans ce cas le troisie- 
me registre identique aux deux autres ; si les trois re- 
gistres sont differents, une valeur de compromis est ins- 
crite dans les trois registres. 

[0042] Si, en revanche, le parametre d'ajustement est 
so inscrit dans une memoire non volatile telle que 1 4, alors 
le microcontroleur lit la valeur de reference de I'ajustage 
signage par son numeVo d'interruption dans cette me- 
moire non volatile et reecrit cette valeur dans les trois 
registres 28 concemes (on prevoit dans ce cas une in- 
ss terruptbn masquable). 

[0043] En variante, au lieu de coniger specif iquement 
celui des registres qui a ete altere, on peut reecrire l'en- 
semble des registres 28 chaque fois qu'une alteration 
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est detectee. Cette maniere de proc6der 6vite le recours 
aux circuits de codage des interruptions et de gestion 
des priorites 40 et 42 ; il est cependant n6cessaire, dans 
ce cas, de pr6voir une interruption masquable pendant 
toute la duree de la correction. 5 
[0044] On notera incidemment que, si Ton conserve 
en rrtemoire non volatile les parametres d'ajustage, le 
systeme peut gerer non seulement la corruption des 
donnees par des phenomenes parasites, mais egale- 
ment les pertes transitoires d'alimentation. 10 
[0045] Lorsque le microcontroleur a acheve I'etapede 
correction, il retablit la surveillance du systeme en auto- 
risant de nouveau la ligne d' interruption 22 affectee a la 
protection des ajustages. Si plusieurs demandes 
avaient ete en registries simultanement, apres que le is 
microcontroleur ait traite la demande prioritaire, des la 
r6autorisation le systeme de protection geYiere a nou- 
veau une demande avec un numero different dans le 
registre Reg_Num 42. 

[0046] Comme on I'aura compris, cette correction, g6- 20 
r6e par une simple interruption (prioritaire) du micropro- 
cesseur, est tres rapidement operee, typiquement en 
quelques millisecondes, temps tres court permettant de 
ne pas affecter le comportement physiologique du dis- 
positif medical actif. 25 
[0047] On notera par ailleurs que rintegrite du syste- 
me est garantie meme pendant la phase (tres courte) 
de correction par le microprocesseur de la don nee cor- 
rompue, grace au circuit majoritaire 30 qui continue a 
appliquer au module 24 la valeur correcte, contenue 30 
dans les registres non alteres. 



3. Le dispositif de la revendication 2, comportant une 
plurality desdits modules, et dans lequel les si- 
gnaux d'interruption respectifs sont appliques au 
microcontroleur via des moyens (38, 40, 42) pour 
multiplexer, coder et gerer les priorites de ces inter- 
ruptions. 

4. Le dispositif de la revendication 1, comportant en 
outre des moyens de restauration du contenu du ou 
des registre(s) alter6(s) en cas de discordance de- 
tectee par les moyens comparateurs. 

5. Le dispositif des revendications 1 et 4 prises en 
combinaison, dans lequel les moyens de restaura- 
tion sont des moyens pour rechercher une valeur 
concordante entre une pluralite de registres et re- 
copier cette valeur dans le registre altere\ 

6. Le dispositif de la revendication 4, dans lequel la 
valeur du parametre est 6galement conserved dans 
une memoire non volatile (14) exterieure au module 
(12), et les moyens de restauration sont des 
moyens pour recopier dans le registre alters la va- 
leur lue dans cette memoire non volatile exterieure. 

7. Le dispositif de la revendication 6, dans lequel les 
moyens de restauration recopient dans tous les re- 
gistres la valeur lue dans la memoire non volatile 
exterieure. 



Revendications 

35 

1 . Un dispositif medical actif, comprenant au mpins un 
module (12) pour la mise en oeuvre d'une fonction 
du dispositif, ce module comportant un circuit (24) 
sp6cifique a la fonction et dont un parametre est 
ajustable sous forme d'un mot numeVique de N bits, 40 
dispositif caracterise" en ce que chacun desdits mo- 
dules comprend : 

- au moins trois registres (28) de type volatil de 

N bits memorisant chacun ledit mot numerique, 4$ 
un circuit majoritaire (30) recevant en entree 
les contenus des registres et delivrant en sortie 
audit circuit sp6cifique (24) la valeur resultante 
comme parametre d'ajustement, et 

- des moyens comparateurs (32, 36), pour com- 
parer les contenus respectifs des registres et 
produire un signal d'anomatie (IT^ IT 2 ... IT| ... 
ITfc) en cas de discordance entre ces contenus. 

2. Le dispositif de ia revendication 1, dans lequel le 55 
dispositif medical actif est un dispositif a microcon- 
tr6!eur (10), et le signal d'anomalie est un signal 
d'interruption appliqu6 au microcontroleur. 
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